Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
NESTA PÁGINA
 

Configure conectores de borda seguros para roteadores Session Smart

O Juniper® Secure Edge oferece recursos full-stack Security Service Edge (SSE) para proteger o acesso a aplicativos web, SaaS e no local e fornecer aos usuários força de trabalho de segurança onde quer que eles estejam com proteção consistente contra ameaças e uma experiência de rede otimizada, e políticas de segurança que acompanham os usuários onde quer que eles vão. O Secure Edge atua como um avançado scanner de segurança baseado em nuvem. Ela permite que as organizações protejam dados e forneçam aos usuários acesso de rede consistente e seguro, seja no escritório, no campus ou em movimento.

Figura 1: Juniper Secure Edge Juniper Secure Edge

Os recursos secure edge são todos gerenciados pelo Juniper Security Director Cloud, a experiência de gerenciamento simples e perfeita da Juniper entregue em uma única interface de usuário (UI).

Figura 2: Inspeção de tráfego pela Juniper Secure Edge Traffic Inspection by Juniper Secure Edge

Para obter mais informações, consulte o Juniper Secure Edge.

Visão geral do Secure Edge Connector

A nuvem juniper Mist™ trabalha com o Juniper® Secure Edge para realizar a inspeção de tráfego a partir de dispositivos de borda usando o recurso de conector Secure Edge. Esse recurso permite que os roteadores Session Smart™ da Juniper®, implantados como dispositivo de borda WAN, enviem uma parte do tráfego para o Juniper Secure Edge para uma inspeção.

Nesta tarefa, você envia o tráfego vinculado à Internet do lado LAN de um dispositivo spoke ou hub para o Secure Edge para uma inspeção antes que o tráfego chegue à Internet.

Para realizar a inspeção de tráfego pelo Secure Edge:

  • No Security Director Cloud, crie e configure os locais de serviço, perfis IPsec, sites e políticas para Secure Edge. Estes são os recursos baseados na nuvem que fornecem serviços de segurança e conectividade para os dispositivos de borda WAN.

  • Na Mist Cloud, crie e configure os dispositivos de borda WAN, como um Roteador Session Smart, que se conectam às redes LAN. Estes são os dispositivos físicos que fornecem recursos de roteamento, comutação e SD-WAN para as filiais ou campi.

  • No Mist WAN-Edge, crie e configure os túneis secure edge que conectam os dispositivos de borda WAN aos locais de serviço. Estes são os túneis IPsec que fornecem transporte seguro e confiável para o tráfego que precisa ser inspecionado pelo Secure Edge.

  • Na Mist Cloud, atribua os túneis de Borda Segura aos perfis de sites ou dispositivos que correspondam aos dispositivos de borda wan. Isso permite que o tráfego guie das redes LAN para a nuvem secure edge com base nas políticas de dados definidas e outros critérios de correspondência. Tabela 1

Os tópicos da tabela a seguir apresentam as informações de visão geral de que você precisa usar a segurança baseada em nuvem do Secure Edge com a nuvem Juniper Mist™.

Tabela 1: fluxo de trabalho de configuração do conector de borda segura
Passo Tarefa Descrição
1 Acesse a nuvem do Juniper Security Director e verifique assinaturas ativas Acesse o Juniper Security Director Cloud, acesse sua conta da organização e verifique as assinaturas do Secure Edge. A assinatura dá direito a configurar serviços secure edge para suas implantações.
2 Configure uma localização de serviço na Nuvem do Juniper Security Director

Crie locais de serviço. É aí que os gateways VPN baseados em vSRX criam conexões seguras entre diferentes redes.
3 Gerar certificados de dispositivo na nuvem do Juniper Security Director Gere certificados digitais para o Juniper Secure Edge para estabelecer comunicações seguras entre o Secure Edge e os endpoints dos usuários.
4 Crie um perfil IPsec na Nuvem do Juniper Security Director Crie perfis IPsec para estabelecer túneis IPsec para comunicação entre os dispositivos de borda WAN em sua rede de nuvem Juniper Mist com instância secure edge.
5 Crie um site no Juniper Security Director Cloud Crie um site que hospeda um dispositivo de borda WAN (Session Smart Router). O tráfego do dispositivo é encaminhado para a instância secure edge por meio de um túnel seguro para uma inspeção.
6 Implante uma política de borda segura na nuvem do Juniper Security Director Configure políticas que definem as regras e ações de segurança para o tráfego originário ou destinado ao site
7 Obtenha parâmetros de configuração de túnel IPsec para aplicar na nuvem do Juniper Security Director Observe os detalhes, como IP de localização de serviço ou nome de host, o nome do perfil IPsec e a chave pré-compartilhada. Você precisa desses detalhes para configurar túneis IPsec do lado juniper Mist.
8 Crie conectores de borda seguros no Portal de nuvem da Juniper Mist Crie conectores secure edge no portal de nuvem Juniper Mist. Essa tarefa completa a configuração do lado da nuvem da Mist dos túneis para estabelecer um túnel IPsec entre o dispositivo de borda WAN gerenciado pela Mist e a instância Secure Edge.
9 Modifique uma política de aplicação Crie uma nova ou altere uma política de aplicativo existente para direcionar o tráfego do dispositivo de borda WAN para a Internet por meio do Juniper Security Director Cloud, em vez de passar por um hub para acesso centralizado.
10 Verifique a configuração Confirme se sua configuração está funcionando verificando os túneis IPsec estabelecidos em:
  • Insights de WAN no portal Mist
  • Painel do Security Director Cloud
  • Fluxo de tráfego de túnel na CLI do dispositivo de borda WAN.

Antes de começar

Acesse a nuvem do Juniper Security Director e verifique assinaturas ativas

Um locatário no Juniper Secure Edge é uma conta da organização que você cria para acessar o portal Juniper Security Director Cloud e gerenciar seus serviços secure edge. Um locatário está associado a um endereço de e-mail exclusivo e um plano de assinatura. Um locatário pode ter vários locais de serviço, que são gateways VPN baseados em vSRX hospedados em uma nuvem pública para sua organização.

Um locatário pode ter um ou mais locais de serviço, que são os pontos de conexão para usuários finais. Para criar um locatário, você precisa ter uma conta no Juniper Security Director Cloud. Consulte criar seu locatário de borda segura para obter detalhes.

Depois de criar seu tenant Secure Edge no portal Juniper Security Director Cloud, acesse o portal e verifique suas assinaturas.

Para acessar o Juniper Security Director Cloud e verificar assinaturas ativas:

  1. Abra a URL para o Juniper Security Director Cloud. Insira seu endereço de e-mail e senha para fazer login e começar a usar o portal Juniper Security Director Cloud.
    Figura 3: Acesse o Juniper Security Director Cloud Access Juniper Security Director Cloud
  2. Selecione o locatário necessário no canto superior direito do portal para continuar.
  3. Selecione a administração > assinaturas para acessar a página de assinaturas do Juniper Security Director Cloud.
    Figura 4: Assinaturas de borda segura Secure Edge Subscriptions
  4. Role até a seção de assinaturas de borda segura para verificar se você tem uma assinatura ativa.
    Nota: Você não precisa clicar na guia assinatura de gerenciamento SRX, mesmo que esteja usando um firewall da Série SRX da Juniper Networks®. Nesta tarefa, você não está usando o Juniper Security Director Cloud para gerenciar dispositivos de borda WAN.

    Para obter detalhes, consulte sobre a página de assinaturas.

    Supondo que você tenha assinaturas ativas, continue com as próximas etapas.

Configure locais de serviço

Depois de garantir que você tem uma licença ativa para o Juniper Security Director Cloud, você configura um local de serviço. Esta é sua primeira tarefa principal na configuração de um conector secure edge para roteadores Session Smart.

Um local de serviço no Juniper Security Director Cloud também é conhecido como POP (ponto de presença) e representa uma instância do Juniper® Secure Edge em um local de nuvem. O local de serviço é o ponto de conexão (acesso) para usuários no local e roaming.

Locais de serviço são locais onde o vSRX cria conexões seguras entre diferentes redes usando um serviço de nuvem pública. O endereço IP público (exclusivo por locatário e local de serviço) é usado para:

  • Configure um túnel IPsec entre o dispositivo da filial e o Juniper Security Director Cloud.

  • Distribua o tráfego centralmente quando o destino estiver na Internet.

Para configurar um local de serviço na Juniper Security Director Cloud:

  1. No menu Juniper Security Director Cloud, selecione Secure Edge>Service Management>Service Locations.

    A página De locais de serviço aparece.

  2. Clique no ícone Adicionar (+) para criar um novo local de serviço.
    Digite os detalhes dos seguintes campos:

    • Região — Escolha a região geográfica onde você deseja criar uma instância de Borda Segura.

    • PoP — Selecione a localização para a borda segura na região.

    • Número de usuários — Insira o número total possível de usuários que este local de serviço pode precisar atender.

    A Tabela 2 mostra exemplos de locais de serviço.

    de
    Tabela 2: Campos de localização de serviço
    Localização do serviço de serviçocampo Local de serviço
    Região América do Norte América do Norte
    Pop Ohio Oregon
    Número de usuários 50 (dividimos a saída igualmente) 50
  3. Clique em OK.

    O Security Director Cloud cria um novo local de serviço e o lista na página De locais de serviço.

    O status da localização de serviço mostra In Progress até que a instância secure edge seja totalmente implantada, como mostrado na Figura 5.

    Figura 5: Status Service Locations Status dos locais de serviço

    Quando você cria um novo local de serviço, o sistema inicia a implantação de duas instâncias vSRX como gateways VPN para o seu sistema de locatários. Nesta implantação, as instâncias vSRX não são compartilhadas com outros locatários.

Gerar certificados de dispositivo na nuvem do Juniper Security Director

Agora que você configurou locais de serviço na Juniper Security Director Cloud, você gera certificados de dispositivo para proteger o tráfego de rede.

Você usa um certificado de segurança de camada de transporte/camada de soquetes seguros (TLS/SSL) para estabelecer comunicações seguras entre dispositivos de borda Secure Edge e WAN. Todos os navegadores clientes de sua rede devem confiar nos certificados assinados pelos firewalls da Série JUNiper Networks e SRX para usar um proxy SSL.

No Juniper Security Director Cloud, você tem as seguintes opções para gerar certificados:

  • Crie uma nova solicitação de assinatura de certificado (CSR), e sua própria autoridade de certificado (CA) pode usar o CSR para gerar um novo certificado.

  • Selecione a opção para que a Juniper Networks crie um novo certificado.

Nota:

Este tópico descreve como gerar um certificado TLS/SSL. A forma como você importa e usa o certificado depende dos requisitos de gerenciamento do cliente da sua empresa e está além do escopo deste tópico.

Para gerar certificados de dispositivo no Juniper Security Director Cloud:

  1. Selecione Secure Edge>Service Administration>Certificate Management.

    A página de gerenciamento de certificados aparece.

    Na lista Gerar , você pode gerar uma nova solicitação de assinatura de Certificado (CSR) ou um certificado emitido pela Juniper.

    Figura 6: Gerenciamento Certificate Management de certificados
  2. Selecione a opção relevante:
    1. Se sua empresa tiver seu próprio CA e você quiser gerar um CSR, clique na solicitação de assinatura do Certificado.

      Após o Juniper Secure Edge gerar CSR, baixe o CSR e envie-o ao seu CA para gerar um novo certificado. Uma vez gerado, clique em Enviar para carregar o certificado na página de gerenciamento de certificados.

    2. Se sua empresa não tiver seu próprio CA, clique no certificado emitido pela Juniper e clique em Gerar para gerar o certificado. A Juniper Networks vai gerar e manter o certificado no sistema.
      Nesta tarefa, selecione o certificado emitido pela Juniper e continue com o próximo passo.
  3. Digite os detalhes do certificado. No campo de nome Comum, use o nome de domínio totalmente qualificado (FQDN) do certificado.
    Figura 7: Gere um certificado Generate a Juniper-Issued Certificate emitido pela Juniper

    A página de Gerenciamento de Certificados abre com uma mensagem indicando que o certificado é criado com sucesso.

  4. Baixe o certificado gerado.
    Figura 8: Baixe o certificado Download the Certificate

    A amostra a seguir mostra o certificado baixado:

    Depois de baixar o certificado em seu sistema, adicione o certificado aos navegadores do cliente.

Crie um perfil IPsec na Nuvem do Juniper Security Director

Depois de gerar os certificados para estabelecer comunicações seguras entre dispositivos de borda Secure Edge e WAN, você está pronto para criar perfis IPsec.

Os perfis IPsec definem os parâmetros com os quais um túnel IPsec é estabelecido quando os dispositivos de borda WAN em sua rede de nuvem Juniper Mist™ começam a se comunicar com sua instância secure edge.

Para criar um perfil IPsec na Nuvem do Juniper Security Director:

  1. No portal Juniper Security Director Cloud, selecione Secure Edge > Service Management > perfis IPsec.
  2. Clique no ícone Adicionar (+) para criar um perfil IPsec.
    A página de perfil Create IPsec aparece.
  3. Para o nome do perfil, use default-ipsec. Reter todos os valores padrão para Internet Key Exchange (IKE) e IPsec; atualmente, eles não estão configuráveis no portal de nuvem Juniper Mist.
    Figura 9: Crie um perfil Create an IPsec Profile IPsec

    Você usa este perfil IPsec para criar um site na próxima tarefa. Na página criar site, se você selecionar o IPsec como o tipo de túnel na guia encaminhamento de tráfego, você anexará o perfil IPsec.

Crie um site na nuvem Juniper Secure Edge

Você já criou perfis IPsec. Esses perfis definem os parâmetros para o túnel IPsec entre dispositivos de borda WAN em sua rede de nuvem Juniper Mist™ e sua instância Secure Edge.

Neste ponto, você precisa criar um site no Juniper Security Director Cloud. Um site representa um local que hospeda um dispositivo de borda WAN, como um Session Smart Router. O tráfego do dispositivo de borda WAN é encaminhado para a instância secure edge por um túnel seguro e, em seguida, inspecionado e aplicado pelos serviços de nuvem Secure Edge.

Você pode configurar para encaminhar algum ou todo o tráfego vinculado à Internet de sites de clientes para a nuvem Juniper Secure Edge por meio de encapsulamento de roteamento genérico (GRE) ou túneis IPsec dos dispositivos de borda WAN no site.

Nota:

Endereços de filial sobrepostos não são suportados ao mesmo POP dentro do Secure Edge ao usar um firewall stateful em filiais. O tráfego de caminho reverso para esses IPs sobrepostos será roteado usando multicaminho de custo igual (ECMP) em todas as conexões. O tráfego é roteado usando ECMP em vez de roteamento por sessão para a interface de onde o tráfego se originou. Considere o tráfego de caminho reverso através do ECMP quando você configurar as redes protegidas para um site.

Para criar um site no Juniper Security Director Cloud:

  1. No portal Juniper Security Director Cloud, selecione Secure Edge >Service Management > Sites.

    A página sites aparece.

  2. Clique no ícone Adicionar (+) para criar um site.
  3. Preencha a página detalhes do site da seguinte forma:

    1. Insira um nome de site exclusivo e uma descrição.

    2. Selecione o país correspondente na lista onde o site está localizado.

    3. (Opcional) Digite o CEP onde a filial do cliente está localizada.

    4. (Opcional) Insira a localização (endereço de rua) do site.

    5. Selecione o número de usuários que podem usar a rede no site.

    6. No campo de redes protegidas, clique no ícone Adicionar (+) para adicionar a faixa de endereço IP privada da interface a ser usada para o fluxo de tráfego através do túnel.

    A Figura 10 e a Tabela 3 mostram um exemplo de um site.
    Figura 10: crie um site na nuvem Create Site in Juniper Secure Edge Cloud de borda segura da Juniper
    Tabela 3: Detalhes da criação do site
    Valores de campos
    Localização de serviço primária jsec-oregon
    Localização de serviço secundário jsec-ohio
    Número de usuários 10
    Nome spoke1-site
    País Alemanha
    Redes protegidas 10.99.99.0/24 (rede LAN)
  4. Clique em seguida.
  5. Na página de encaminhamento de tráfego, digite os detalhes de acordo com as informações fornecidas na Figura 11
    Figura 11: Crie o site: detalhes do encaminhamento de tráfego Create Site: Traffic-Forwarding Details
    Tabela 4: Detalhes da política de encaminhamento de tráfego
    Valor de campo
    Tipo de túnel Ipsec
    Tipo de endereço IP Dinâmico
    Perfil do IPsec ipsec padrão
    Chave pré-compartilhada

    Defina um PSK exclusivo para cada site. Exemplo: Juniper!1
    IKE ID site1@example.com (se assemelha a um endereço de e-mail e deve ser um valor único para cada site)
  6. Clique em seguida.
  7. Na página de configuração do site, para o tipo de dispositivo selecione dispositivo não-Juniper.
    Figura 12: crie a configuração Create Site-Site Configuration do site-site

    Você deve selecionar essa opção porque os dispositivos que o portal de nuvem Juniper Mist gerencia não têm sua configuração empurrado pelo Juniper Security Director Cloud.

  8. Clique em seguida.
  9. Na página Resumo, revise a configuração.
    Figura 13: Crie o resumo do Create Site-Summary site
  10. Clique de volta para editar quaisquer campos ou Terminar para criar o novo site.
  11. Adicione mais dois sites usando o mesmo procedimento. Os parágrafos a seguir descrevem os detalhes a incluir em cada site.
    1. Crie um segundo site com os detalhes fornecidos na Tabela 5 e na Tabela 6.
      .
      Tabela 5: Criação de site para segundo site
      Valor dos campos
      Localização de serviço primária jsec-oregon
      Localização de serviço secundário jsec-oregon
      Número de usuários 10
      Nome spoke2-site
      País Alemanha
      Redes protegidas 10.88.88.0/24 (rede LAN)
      Tabela 6: Encaminhamento de tráfego para o segundo site
      Valor de campo
      Tipo de túnel Ipsec
      Tipo de endereço IP Dinâmico
      Perfil do IPsec ipsec padrão
      Chave pré-compartilhada

      Defina um PSK exclusivo para cada site. Exemplo: Juniper!1
      IKE ID site2@example.com (se assemelha a um endereço de e-mail e deve ser um valor único para cada site)
    2. Selecione dispositivos Type=Non-Juniper Device .
    3. Crie um terceiro site com detalhes fornecidos na Tabela 7 e na Tabela 8.
      Tabela 7: Crie um terceiro site: detalhes do site
      Valor dos campos
      Localização de serviço primária jsec-oregon
      Localização de serviço secundário jsec-ohio
      Número de usuários 10
      Nome spoke3-site
      País Alemanha
      Redes protegidas 10.77.77.0/24 (rede LAN)
      Tabela 8: Crie um terceiro site: detalhes do encaminhamento de tráfego
      Valor de campo
      Tipo de túnel Ipsec
      Tipo de endereço IP Dinâmico
      Perfil do IPsec ipsec padrão
      Chave pré-compartilhada

      Defina um PSK exclusivo para cada site. Exemplo: Juniper!1
      IKE ID site3@example.com (se assemelha a um endereço de e-mail e deve ser um valor único para cada site)
    4. Selecione dispositivos Type=Non-Juniper Device .
  12. Analise a página resumo. Modifique quaisquer entradas incorretas.
    #task_zvg_qcv_wxb__fig_ajm_y45_rxb exibe a lista de sites que você criou.

Implante uma política de borda segura na nuvem do Juniper Security Director

Agora que você criou sites no Juniper Security Director Cloud, é hora de implantar uma ou mais políticas de Borda Segura da Juniper®.

As políticas de borda segura especificam como a rede roteia o tráfego. Por padrão, quando você cria um novo tenant, o Security Director Cloud cria uma regra de política de Borda Segura definida com regras predefinidas.

Nota:

Mesmo que você não altere o conjunto de regras padrão, você deve usar a opção Implantar para carregar as regras em seus locais de serviço.

Para implantar uma política de Borda Segura na Nuvem do Juniper Security Director:

  1. No portal Juniper Security Director Cloud, clique em Secure Edge > Security Policies.

    Aparece uma página de política de borda segura com regras padrão. Você modifica o conjunto padrão de política de segurança para melhor depuração. O conjunto de regras padrão não permite pings de ICMP para fora (Internet), impedindo que você pinge qualquer coisa pela nuvem.

    Figura 14: Detalhes da política de borda segura Secure Edge Policy Details
  2. Clique no ícone Adicionar (+) para criar uma nova regra ou selecionar a regra existente e clicar no ícone de lápis para editar a regra.
  3. Dê à nova regra o Nome da Regra=Allow-ICMP.
  4. Clique em Adicionar (+) para adicionar fontes.
    Nas fontes, use os seguintes valores padrão:

    • Endereços=Qualquer

    • Grupos de usuário=Any

  5. Clique em Adicionar (+) para adicionar destinos.
    Em Destinos, para Endereços, use o valor padrão =Any.
  6. Sob aplicativos/serviços, configure os seguintes valores:

    • Aplicativos=Quaisquer

    • Serviços=Específicos (via pesquisa)

    • Serviço específico=icmp-all

    Usando a seta direita (>), mova o serviço específico=icmp-all para o painel direito para ative-lo antes de clicar em OK.

  7. Configure a ação=permita e retenha os valores padrão para os campos restantes.

    O sistema coloca a nova regra na parte inferior da lista de regras e trata essa regra como a última regra no conjunto de regras. Se a regra for colocada após uma regra global (que nega todo o tráfego), ela nunca será aplicada, porque a regra global impede todo o tráfego adicional. Portanto, para este exemplo, você muda a posição da regra selecionando a regra. Em seguida, use as opções Move > Move > Move Top para mover a regra selecionada para o topo do conjunto de regras. Mover a regra para o topo do conjunto de regras garante que o sistema aplique essa regra primeiro.

    Nota:

    Sempre que modificar um conjunto de regras, certifique-se de usar o botão Implantar para completar a tarefa. Caso contrário, os locais de serviço continuam a usar os conjuntos de regras desatualizados.

  8. Clique em Implantar.
  9. Na página Implantar, verifique a opção Executar agora e clique em OK.

    Os locais de serviço recebem o conjunto de regras atualizado após alguns minutos.

  10. Selecione a Administração > Empregos para ver o status e o progresso do trabalho implantado.

Obtenha parâmetros de configuração de túnel IPsec para aplicar na nuvem do Juniper Security Director

Nas tarefas anteriores, você completou várias ações para configurar um túnel IPsec no Juniper Secure Edge e implantou a política secure edge na Nuvem do Juniper Security Director. A etapa final do Security Director Cloud é coletar dados de configuração para cada site. Você precisará desses detalhes para completar a configuração segura do conector de borda (Crie conectores de borda seguros no Portal de nuvem da Juniper Mist) na nuvem Juniper Mist™ para configurar um túnel IPsec. Nesta etapa, você observará os detalhes dos sites que criou.

Nota:

Um impulso de configuração automatizado para sincronizar entre o Juniper Security Director Cloud e a opção de nuvem Juniper Mist não disponível.

Para que os parâmetros de configuração de túnel IPsec se apliquem na Nuvem do Juniper Security Director:

  1. No portal Juniper Security Director Cloud, selecione Secure Edge >Service Management > Sites.
    A página do Site abre, exibindo detalhes do site implantados.
    Figura 15: Detalhes Tunnel Configuration Details da configuração do túnel
  2. Para cada site spoke, clique na opção configuração de túnel em Status implantado e, em seguida, verifique a guia mist Managed Device para obter informações.

    Observe os detalhes a seguir, que você usará em Criar conectores de borda seguros no Portal de nuvem da Juniper Mist:

    • Chave pré-compartilhada

    • Identificação local

    • Endereço IP e ID remoto de cada túnel de localização de serviço

    ele seguindo amostras mostram informações extraídas para os três sites que você criou no Create a Site na nuvem Juniper Secure Edge:

    A amostra a seguir é das informações extraídas para o site2:

    A amostra a seguir é das informações extraídas para o site3:

    Você precisa desses detalhes do site quando configura túneis no portal de nuvem da Mist.

Crie conectores de borda seguros no Portal de nuvem da Juniper Mist

Você está quase na metade do seu objetivo final de configurar um conector Secure Edge para os Roteadores Session Smart na Juniper Mist™.

Você cria conectores Secure Edge no portal de nuvem Juniper Mist. Essa tarefa completa a configuração do lado da nuvem mist dos túneis para estabelecer um túnel IPsec entre dispositivos de borda WAN gerenciados pela Mist e o Security Director Cloud. Antes de criar os conectores, garanta que seu site tenha um roteador Session Smart implantado.

Para criar conectores secure edge:

  1. No portal de nuvem Juniper Mist, clique em WAN Edges.

    A página wan edges exibe os detalhes do site.

    Figura 16: Configure a borda Configure WAN Edge WAN
  2. Selecione um site com um dispositivo de filial implantado.
  3. No painel Secure Edge Connectors, clique em Adicionar Provedor.
    Figura 17: Configuração Secure Edge Connector Configuration do conector de borda segura
  4. Digite detalhes do conector Secure Edge de acordo com os detalhes fornecidos na Figura 18
    Nota:

    Lembre-se que estes são os mesmos detalhes que você reuniu nos parâmetros de configuração do túnel IPsec para aplicar na Nuvem do Juniper Security Director.
    Figura 18: Detalhes Secure Edge Connector Details do secure edge connector
    Tabela 9: detalhes do conector de borda seguro
    Valor de campo
    Nome site1-to-sdcloud
    Provedor Juniper Secure Edge
    Identificação local site1@example.com
    Chave pré-compartilhada Juniper!1 (exemplo)
    Primária
    NOME DE IP ou Host endereço <IP> (da configuração do túnel de nuvem Juniper Security Director)
    IPs de sonda -
    Identificação remota <UID>.jsec-gen.juniper.net (configuração de túnel de nuvem rom Juniper Security Director)
    WAN Interface

    • WAN0=INET

    • WAN1=MPLS
    Secundário
    NOME DE IP ou Host endereço <IP> da (da configuração de túnel de nuvem do Juniper Security Director)
    IPs de sonda -
    Identificação remota <UID>.jsec-gen.juniper.net (da configuração do túnel juniper Security Director Cloud)
    WAN Interface

    • WAN0=INET

    • WAN1=MPLS
    Modo Espera ativa
    Nota:

    Você não precisa entrar nos valores de IP da sonda. Os túneis IPsec não precisam de monitoramento adicional, como as necessidades de GRE.
    Nota:

    Não habilite IPs de sonda ICMP para a configuração de borda segura baseada em Session Smart Router. As sondas ICMP serão originadas de um endereço IP não roteável em direção à Borda Segura e lançadas devido à política. Além disso, se os endereços de origem estiverem sobrepostos em todas as filiais, o roteamento para mais de uma filial com endereço IP de sonda não é suportado.
    Nota:

    O sistema gera descrições de texto, aplicativos e e-mails automaticamente.
  5. Verifique se o portal de nuvem da Mist adicionou o conector Secure Edge que você acabou de configurar.
  6. Adicione os caminhos de orientação de tráfego

    Adicione um novo caminho de orientação de tráfego no modelo de borda WAN ou dispositivo de borda WAN, de acordo com os valores fornecidos na Figura 19

    Figura 19: adicione opções de direção de tráfego para borda segura Add Traffic-Steering Options for Secure Edge
    Tabela 10: Configuração do caminho de direção de tráfego
    Valor dos campos
    Nome Nuvem
    Estratégia Ordenou
    Caminhos Selecione Tipo e Destino
    Tipo Conector de borda seguro
    Provedor Juniper Secure Edge
    Nome site1-to-sdcloud

    A Tabela 10 exibe caminhos de orientação de tráfego concluídos.

    Figura 20: Caminhos Traffic-Steering Paths de orientação de tráfego

Modifique uma política de aplicação

Depois de criar conectores Secure Edge no portal de nuvem Juniper Mist™, o próximo passo é modificar as políticas de aplicativos no dispositivo da filial. Por exemplo, você pode permitir o tráfego de um dispositivo spoke para um dispositivo hub. Você também pode permitir o tráfego de um dispositivo spoke para outro dispositivo spoke no túnel VPN. Depois disso, você pode enviar tráfego de spokes para a Internet por meio do Juniper Security Director Cloud, em vez de enviar tráfego de spokes para um hub para fuga central.

Use as seguintes etapas para confirmar se a configuração está funcionando:

  1. No portal de nuvem Juniper Mist, acesse a Política de > de aplicativos > da Organização >
    Figura 21: alterar políticas de aplicativos Change Application Policies
  2. Selecione a política que deseja modificar e aplique as seguintes mudanças

    • Verifique a opção De configurações do modelo de substituição .

    • Altere o direcionamento de tráfego para nuvem na última regra (Internet-via-Cloud-CBO).

  3. Reserve as mudanças.
    A nuvem da Juniper Mist constrói novos túneis para o Juniper Security Director Cloud.

Verifique a configuração

Depois de modificar a política do aplicativo, agora é hora de confirmar se sua configuração está funcionando como esperado. Com a configuração desejada salva, você pode verificar se a nuvem da Juniper Mist roteia o tráfego vinculado à Internet de spokes para o Juniper Security Director Cloud, em vez de roteá-lo para um hub para fuga central.

Para verificar a configuração:

  1. (Opcional) Dependendo do seu ambiente, você pode ver a comunicação do túnel IPsec em direção ao Juniper Security Director Cloud na CLI.

    Verifique os detalhes dos túneis estabelecidos WAN Insights do dispositivo no portal de nuvem Juniper Mist.

    Figura 22: conector de borda seguro com detalhes Secure Edge Connector with Tunnel Details do túnel
    Você também pode verificar os túneis estabelecidos no painel juniper Security Director Cloud e no local de serviço.
  2. Verifique o novo fluxo de tráfego usando um desktop VM conectado ao dispositivo da filial. Você pode verificar o fluxo de tráfego usando pings na Internet.
    Nota:

    Você pode ter latência dependendo da distância física entre seu dispositivo de borda WAN e a localização do serviço Juniper Secure Edge.
  3. Abra um navegador em um desktop VM e navegue até https://whatismyipaddress.com/ para ver detalhes sobre o endereço IP de origem usado para rotear o tráfego de rede juniper Mist de um local de serviço em direção à Internet.

    A Figura 23 e a Figura 24 mostram tráfego dos locais de serviços primários e secundários.

    Figura 23: Tráfego da localização Traffic from Primary Service Location primária do serviço
    Figura 24: Tráfego do local Traffic from Secondary Service Location de serviço secundário

    Um dos dois endereços IP do local de serviço é um endereço IP público e atende a duas finalidades:

    • Termina o túnel IPsec

    • Roteia o tráfego de dispositivos de filiais para a Internet por meio do Juniper Security Director Cloud

    Você pode ver este mesmo endereço IP público nas capturas de pacotes mostrando um túnel estabelecido para o local de serviço usando o Juniper Security Director Cloud. Veja verificar a configuração.

    Lembre-se que um local de serviço no Juniper Security Director Cloud também é conhecido como POP e representa uma instância do Juniper® Secure Edge em um local de nuvem. O local de serviço é o ponto de conexão (acesso) para usuários no local e roaming.

Veja também